Facturation électronique et protection de l'identité des entrepreneurs

M. Sébastien Chenu appelle l'attention de M. le ministre de l'économie, des finances et de la souveraineté industrielle, énergétique et numérique sur la nécessaire cohérence de l'action de l'État en matière de protection des données personnelles et des documents d'identité des entrepreneurs, dans le contexte de la généralisation de la facturation électronique et de la multiplication des violations de données. À compter du 1er septembre 2026, l'ensemble des entreprises concernées par la réforme de la facturation électronique doivent être en mesure de recevoir leurs factures électroniques par l'intermédiaire d'une plateforme agréée, tandis que les petites et moyennes entreprises et les micro-entreprises seront tenues d'émettre leurs factures sous cette forme à compter du 1er septembre 2027. Or certaines plateformes demandent, lors de l'inscription ou de la vérification de l'identité de leurs utilisateurs, la transmission d'une copie d'un titre d'identité. La multiplication de telles copies auprès d'opérateurs privés constitue un facteur de risque supplémentaire en cas de violation de données, alors même que des copies de titres d'identité détournées peuvent être utilisées à des fins d'usurpation d'identité et de fraude. Cette situation paraît d'autant plus paradoxale que l'État a développé des dispositifs destinés précisément à éviter ou à limiter la circulation de copies de titres d'identité. France Identité permet ainsi de produire un justificatif d'identité à usage unique, signé électroniquement par le ministère de l'intérieur, tandis que l'identité numérique certifiée France Identité bénéficie d'un niveau de garantie élevé au sens du règlement eIDAS. ProConnect dispose par ailleurs d'un mécanisme de certification du statut de dirigeant reposant notamment sur les données du répertoire Sirene et du registre national des entreprises. Dans ce contexte, il apparaît nécessaire de déterminer si la collecte d'une copie de carte nationale d'identité ou de passeport par les plateformes agréées résulte effectivement d'une obligation légale ou réglementaire, notamment au titre des obligations de vigilance prévues par le code monétaire et financier, ou si elle procède de choix opérés par les plateformes elles-mêmes. Cette question s'inscrit plus largement dans les préoccupations relatives à la protection des données personnelles des entrepreneurs individuels. Lorsque l'adresse de leur entreprise correspond à leur domicile, la publicité légale attachée à leur activité peut en pratique conduire à rendre accessible leur adresse personnelle. Le décret n° 2025-840 du 22 août 2025 a permis à certaines personnes physiques dirigeantes ou associées de personnes morales de demander l'occultation de leur domicile personnel au registre du commerce et des sociétés, sans apporter à ce jour de solution générale équivalente aux entrepreneurs individuels. Il lui demande donc, premièrement, de préciser le fondement juridique exact autorisant ou imposant, le cas échéant, aux plateformes agréées de facturation électronique de recueillir et de conserver une copie des titres d'identité de leurs utilisateurs ; deuxièmement, d'indiquer si le Gouvernement entend favoriser ou imposer, chaque fois que le cadre juridique applicable le permet, le recours à France Identité, à son justificatif d'identité à usage unique, à ProConnect ou à tout autre mécanisme d'identification électronique présentant un niveau de sécurité suffisant, afin de réduire la circulation et la conservation de copies de titres d'identité ; troisièmement, de préciser les garanties imposées aux plateformes en matière de durée de conservation, de chiffrement, de sécurité et d'hébergement de ces documents ; enfin, d'indiquer quelles mesures il entend prendre afin que les entrepreneurs individuels dont l'adresse professionnelle correspond au domicile personnel puissent bénéficier d'un niveau de protection comparable à celui désormais accordé à certains dirigeants de personnes morales, sans être contraints de recourir à un service privé de domiciliation.

La protection des données personnelles constitue une préoccupation majeure du Gouvernement, qui veille à la prendre en compte dans chacune de ses réformes. La réforme de la facturation électronique ne fait pas exception à cette exigence. Les plateformes agréées sont soumises à des exigences strictes en matière de sécurité, d'hébergement et d'audit. Le choix de ne pas concentrer l'ensemble des flux nationaux dans un point de passage unique participe également de la stratégie de sécurité. Un portail central aurait constitué une cible évidente et attractive pour une attaque d'ampleur, avec un risque systémique majeur en cas de défaillance. La plateforme agréée doit démontrer qu'elle respecte l'article 321 du règlement général sur la protection des données (RGPD) relatif à la sécurisation des données personnelles (chiffrement / anonymisation) qu'elle est susceptible de gérer, par exemple au moyen d'un code de conduite ou d'un mécanisme de certification (article 242 nonies B de l'annexe II au CGI). Elle doit également démontrer que ses traitements, quels qu'ils soient (modification, conservation, effacement…), obéissent aux principes du RGPD (licéité, transparence, finalité, sécurité, proportionnalité…). Par ailleurs, les exigences qui ont été demandées et imposées aux plateformes agréées imposent que les données seront hébergées sous le label SecNum Cloud, un label développé par l'agence nationale de la sécurité des systèmes d'information (ANSSI), qui impose des standards de sécurisation extrêmement forts tout en couvrant les risques liés à l'extraterritorialité. Autrement dit, les données seront stockées sur le sol européen et ne pourront pas être soumises à des lois étrangères. En matière d'identification des utilisateurs, conformément aux textes réglementaires (article 242 nonies B I 7° a) et article 242 nonies F de l'annexe II au code général des impôts), les plateformes agréées doivent assurer un niveau de garantie substantiel des moyens d'identification électronique de la personne utilisatrice 2. Toutefois, au plus tard jusqu'au 31 décembre 2029, elles peuvent recourir à un autre niveau de garantie à la double condition que le dispositif mis en œuvre repose sur : a) une vérification fiable de l'identité de la personne utilisatrice et de sa qualité de représentant légal, mandataire ou délégataire de l'assujetti, au moment de la création d'un compte sur la plateforme ou de l'adhésion aux services proposés par celle-ci ; b) un mécanisme d'authentification à deux facteurs, dont l'un dynamique. Ce mécanisme est essentiel puisqu'il permet de s'assurer que les personnes utilisant les services de la plateforme agréée sont légitimes à le faire, l'utilisation d'outils comme ProConnect ne permettant pas à l'ensemble des entreprises d'atteindre un tel résultat. Pour lutter contre l'utilisation frauduleuse de documents et l'usurpation d'identité, le site FiligraneFacile proposé par l'État facilite l'ajout d'un filigrane numérique personnalisé pour protéger les documents sensibles (notamment les pièces d'identité des représentants légaux) avant de les transmettre. Par ailleurs, la commission nationale de l'informatique et des libertés (CNIL) a été saisie et a rendu un avis favorable le 23 juin 2022 qui est visé dans le décret n° 2022-1299 du 7 octobre 2022 relatif à la généralisation de la facturation électronique dans les transactions entre assujettis à la taxe sur la valeur ajoutée et à la transmission des données de transaction. Enfin, la CNIL a mis en ligne sur son site un article relatif aux enjeux pour la protection des données personnelles : https://www.cnil.fr/fr/facturation-electronique-quels-enjeux 1 Article 32 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données. 2 Au sens des dispositions du règlement d'exécution 2015/1502 de la Commission du 8 septembre 2015 fixant les spécifications techniques et procédures minimales relatives aux niveaux de garantie des moyens d'identification électronique visés à l'article 8, paragraphe 3 du règlement (UE) n° 910/2014 du Parlement européen et du Conseil du 23 juillet 2014 sur l'identification électronique et les services de confiance pour les transactions électroniques au sein du marché intérieur.